PHP2Shell: fallos críticos en PHP, hallados con ayuda de IA, afectan a casi todas las versiones

Wiz Research publicó el 21 de octubre de 2026 los detalles de PHP2Shell, un conjunto de cuatro fallos en PHP, el lenguaje en el que funcionan WordPress, Drupal, Joomla y muchísimas webs. Están recogidos en los identificadores CVE-2026-109618 y CVE-2026-109619, y PHP puso ese mismo día versiones corregidas a disposición de todos.

Según Wiz, los fallos afectan a prácticamente todas las versiones de PHP, hasta la 5.4, y cada versión de la última década tiene al menos uno. La empresa demostró que, sin necesidad de contraseña, se puede ejecutar código en el servidor en las imágenes de contenedor por defecto de WordPress, Drupal y Joomla, y también leer información de la memoria del proceso. Estima que PHP mueve en torno al 70 % de los sitios web.

La IA tuvo un papel central. Wiz explica que usó su herramienta Wiz Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol, y atribuye a Gemini 4 Argon aportaciones en encontrar el fallo, desarrollar el exploit (el programa que lo aprovecha), detectar ataques y validar los parches. Añade que los modelos ayudaron a adaptar los ataques a distintas versiones y configuraciones, lo que reduce el esfuerzo especializado necesario para cada objetivo. Wiz avisó al equipo de PHP el 24 de agosto.

SecurityWeek informó antes del parche de que los detalles se habían filtrado en línea antes de la divulgación coordinada, y de que varias firmas de seguridad esperaban intentos de explotación masiva. La publicación de Wiz no habla de ataques reales en curso, y los números de versión concretos de los parches no aparecen en ninguna de las dos fuentes, así que hay que consultarlos en la web oficial de PHP.